Quels enseignements tirer des premières attaques entièrement IPv6 ?

Un peu plus d'une année après le lancement d'un "World IPv6 Launch" (1) par l'ISOC, il semblerait que les premiers signes d'attaques réelles, uniquement basés sur le protocole IPv6, soient observables. C'est en tout cas ce que prétend Matthew Prince, l'un des fondateurs de CloudFlare (2). Si l'intérêt de la solution qu'il propose apparaît secondaire, la véritable information se trouve dans la typologie des attaques et dans une hypothèse intéressante.

Dénis de service (DoS) et SYN floods massifs ainsi que des attaques de la couche applicative sont les principales méthodes relevées. En somme, pas de différence entre IPv4 et IPv6. Par contre, si Prince n'a pas de certitude sur les raisons de l'augmentation des attaques IPv6, il propose une hypothèse intéressante. Il pense que de nombreuses solutions de sécurité reposent pour beaucoup sur des blocages d'adresses IP par l'utilisation de listes noires. Bloquer des adresses sur 32 bits (IPv4) serait plus simple que des adresses sur 128 bits (IPv6) du fait de la différence de la taille d'allocation dont de la différence en termes de traitement temporel.

C'est ce qui pourrait expliquer la préférence de certains attaquants d'utiliser une faille basée sur une limitation de la taille des adresses IP. Simple mais a priori efficace. Si cette information se confirme, ce qui ne semble pas absurde, il y a aura intérêt à continuer de scruter toutes les subtilités introduites par IPv6. Car, sans vouloir se répéter, "IPv6 c'est IPv4 à 95%" !

(1) http://www.worldipv6launch.org/
(2) Qui a été au cœur de l'affaire Spamhaus, donné comme le plus gros DDoS de l'histoire ayant même entraîné des ralentissements sur Internet